A Proteção De Dados Pessoais É Um Tema De Responsabilidade

Proteção de dados não é um curso que você faz uma vez e pronto

A LGPD foi aprovada em 2018, mas a maioria das empresas que eu vejo implementando coisa alguma mudou no dia seguinte. O problema não é a lei em si. É a falta de entendimento do que realmente precisa ser feito no dia a dia. A proteção de dados pessoais é um tema de responsabilidade, e essa responsabilidade não é só do chefe ou do setor jurídico. Ela cai em cima de qualquer pessoa que lida com dado no Brasil hoje. Começa pelo básico que todo mundo erra: mapeamento. Sem saber quais dados você coleta, de onde vêm e para onde vão, você não tem como proteger nada. A primeira coisa que eu sempre recomendo é uma planilha. Sim, planilha. Não precisa de software caro. Anota todos os bancos de dados, todos os formulários, todas as integrações que recebem e enviam dados pessoais. Coloque quem é o responsável por cada fluxo. Isso leva cerca de uma semana para uma empresa de médio porte, se as pessoas forem honestas sobre o que realmente existe. O erro clássico é achar que só o cadastro do site é dado pessoal. Dado pessoal é qualquer informação que identifique ou torne identificável uma pessoa natural. Nome, e-mail, CPF, IP, cookie de rastreamento, histórico de compras, foto de perfil, gravação de atendimento. Tudo isso. E quando você começa a mapear de verdade, percebe que a maioria das empresas tem dados sensíveis espalhados em lugares que não deveriam estar. Plano de saúde de funcionário em uma planilha do RH compartilhada com todo o escritório. Foto de cliente num grupo de WhatsApp da equipe de vendas. Essas coisas acontecem todo dia.

Outro ponto que as pessoas não entendem: a LGPD não exige que você pare de coletar dados. Ela exige que você tenha uma base legal para cada coleta. Base legal não é sinônimo de consentimento. Consentimento é uma das bases, sim, mas não a mais prática na maioria dos casos. Para prestar serviço, executar contrato, cumprir obrigação legal, exercer direitos em processo judicial, proteger a vida, tutelar a saúde — são todas bases válidas. O problema é que muitas empresas só pensam em consentimento porque é o que aparece nos banners de cookies. Isso é simplificação perigosa. Aqui vai algo que eu vi na prática e que ninguém conta: o artigo 7º da LGPD enumera as bases para dados pessoais em geral. O artigo 11 enumera as bases para dados sensíveis. Dados sensíveis incluem origem racial ou étnica,convicção religiosa, opinião política, dados genéticos, dados biométricos, saúde, vida sexual. Coletar esses dados sem uma base específica e justificada é infração grave. Mas o que eu vejo acontecendo é coleta indireta. Um formulário de candidatura não deve pedir cor da pele. Se pede, a empresa está coletando dado sensível sem base legal clara. Isso gera multa e processo. A parte operacional da proteção de dados pessoais é um tema de responsabilidade que envolve processos, não só tecnologia. Você precisa de uma política de privacidade que faça sentido. Não aquela política de cinquenta páginas copiada da internet que ninguém lê. Uma política que diga, de forma clara, quais dados você coleta, por quê, quanto tempo você guarda, com quem compartilha e como a pessoa pode pedir a exclusão. Isso tem que estar acessível. Colocar no rodapé do site não é suficiente. Tem que ser encontrável em menos de dois cliques.

Um exemplo concreto do meu dia a dia: uma empresa contratou meus serviços porque estava recebendo pedidos de exclusão de dados de clientes. Eles tinham um sistema que deletava automaticamente após dois anos, mas não tinham registro de nada. Quando chegava um pedido formal, eles não sabiam se o dado já tinha sido apagado, em qual sistema estava, ou se havia cópias de backup. A solução foi simples, mas demorada: criar um registro de solicitações, com data, tipo de solicitação, sistema afetado e prazo de resposta. A partir daí, passaram a responder dentro do prazo legal de dez dias, que é o que a lei estabelece para manifestação do titular. Agora vou falar de algo que as consultorias geralmente não mencionam: backup. Quando você deleta um dado pessoal sob solicitação do titular, precisa apagar também dos backups. E isso tem um custo operacional grande. Backups rotativos podem ter dados retidos por trinta, sessenta, noventa dias. A ANPD já multou empresas por não apagarem dados de backups quando o titular solicitou a exclusão. A solução prática é manter um registro separado dos dados que precisam ser apagados e aplicá-lo na próxima rotação de backup. Isso gera trabalho extra, mas é o que funciona na prática. Há também a questão dos agentes de tratamento. A LGPD divide isso em controlador e operador. Controlador é quem decide sobre o tratamento dos dados. Operador é quem trata em nome do controlador. Muitas empresas contratam fornecedores de software e acham que a responsabilidade é toda deles. Não é. Você continua sendo controlador. Precisa ter um contrato com o operador que especifique as obrigações de segurança, sigilo e exclusão. Sem esse contrato, você está vulnerável tanto perante a ANPD quanto perante processos judiciais.

O DPO, o Encarregado de Dados, também é obrigação para a maioria das empresas. Não precisa ser alguém full-time. Pode ser um funcionário existente com essa atribuição adicionada à função. O importante é que tenha um canal de comunicação aberto com os titulares e com a autoridade nacional. Colocar o e-mail do DPO na política de privacidade é o mínimo. Eu vejo empresas colocando o e-mail do setor de marketing. Isso não cumpre a lei. Vamos falar de medidas de segurança. A LGPD exige segurança, mas não define medidas técnicas específicas. Isso é proposital. Você precisa adotar medidas adequadas ao risco do tratamento. Um banco de dados com números de CPF em texto puro, sem criptografia, em um servidor acessível por muitos funcionários, é um risco alto. Criptografar, restringir acesso, fazer auditoria periódica, usar logs de acesso. Tudo isso é básico. O problema é que a maioria das empresas não faz auditoria. Sabe quantas vezes eu vi um funcionário sair da empresa e o acesso continuar ativo? Muitas vezes demais. Uma coisa que as pessoas subestimam é o treinamento. Não adianta ter política escrita se o estagiário que monta planilhas não sabe que não pode enviar arquivo de Excel com dados de clientes por e-mail pessoal. Treinamento periódico, não apenas na admissão. Dezoito meses depois da contratação, as pessoas já esqueceram o que aprenderam. Refresh trimestral é o mínimo que eu recomendo. E o treinamento tem que ser específico para a função. O que funciona para o setor de RH não funciona para o setor de vendas.

Sobre a Autoridade Nacional de Proteção de Dados, a ANPD: ela começou a aplicar multas de forma mais consistente em 2024. Até então, era mais advertência. As multas podem chegar a 2% da receita bruta, limitado a R$ 50 milhões por infração. Para empresas menores, isso pode significar prejuízo existencial. O que mais acontece hoje são sanções administrativas com publicidade da infração. Ou seja, o dano reputacional costuma ser maior que a multa em si. Se você está começando do zero, aqui está um caminho prático. Primeiro, mapeie todos os fluxos de dados pessoais. Segundo, defina a base legal para cada coleta. Terceiro, atualize a política de privacidade. Quarto, designe o encarregado e torne o contato visível. Quinto, revise contratos com fornecedores. Sexto, implemente controles de acesso e criptografia. Sétimo, crie um processo para atender solicitações dos titulares. Oitavo, treine as equipes. Nono, documente tudo. Décimo, revise periodicamente. O nono ponto é o mais importante e o mais negligenciado. Documentação. Se não está documentado, para a ANPD não aconteceu. Um plano de ação com prazos, responsabilidades e evidências de implementação vale mais do que mil políticas bonitas penduradas na parede. Eu já vi auditorias serem encerradas porque a empresa apresentou documentação de ações corretivas implementadas em datas específicas. A documentação é a sua única defesa.

Existem ferramentas que ajudam. Há softwares de gestão de privacidade que automatizam mapeamento, solicitações dos titulares e gestão de consentimento. Custam entre R$ 500 e R$ 5.000 mensais, dependendo do tamanho da empresa. Não substituem o pensamento crítico, mas economizam tempo. Para microempresas, uma planilha bem estruturada com controles de versão resolve nos primeiros meses. A complexidade aumenta conforme a empresa cresce. Um erro que eu repito bastante: achar que proteção de dados é só uma questão de compliance. Não é. É uma questão de confiança do cliente. Empresas que tratam dados pessoais com responsabilidade têm menor churn, menos processos e melhor relacionamento com os titulares. O inverso também é verdade. Vazamento de dados não desaparece. Entra no noticiário, gera processos coletivos e destrói reputação construída em anos. O custo da proteção é sempre menor que o custo do incidente. Se você quer um material para começar, a própria ANPD disponibiliza guias gratuitos no site oficial. O guia para empresas de pequeno porte é um bom ponto de partida. Não é completo, mas dá direção. Depois disso, o caminho é aprofundar com consulta a um profissional especializado, porque cada caso tem particularidades que um material genérico não cobre.